A informação associada a encomendas de hardware da Steam poderá ter sido comprometida num ciberataque à CEVA Logistics, responsável pelas entregas na Europa.
A Valve está a alertar clientes que compraram hardware através da Steam Store para uma possível fuga de dados na sequência de um ciberataque à CEVA Logistics, empresa responsável pelo envio das encomendas na Europa. Esse ataque terá ocorrido entre os dias 29 de julho e 1 de agosto, tendo a Valve tomado conhecimento do incidente a 7 de agosto.
Num email enviado aos clientes potencialmente afetados, a Valve explica que a CEVA recebe da Steam os dados necessários para processar e entregar as encomendas de hardware e mantém essa informação durante até 90 dias após a compra. Entre os dados que poderão ter sido comprometidos estão o nome do cliente, morada, código postal, cidade, país, número de telefone e endereço de email associado à conta Steam. E informação poderá também incluir o produto comprado e o respetivo preço.
A Valve esclarece, no entanto, que a CEVA não tem acesso às palavras-passe das contas Steam, códigos Steam Guard ou informações de pagamento. E que outros dados relacionados com as contas Steam ou com compras que não dependam da informação fornecida à transportadora também não terão sido afetados pelo incidente, segundo a informação atualmente disponível.
Adicionalmente a Valve, alerta que a empresa de logística está ainda a investigar o ataque, pelo que não é possível determinar neste momento a extensão exata da informação que terá sido acedida.
O grande risco está nas tentativas de phishing
A exposição destes dados poderá facilitar tentativas de fraude dirigidas aos clientes afetados. Com a Valve a explicar que os atacantes poderão utilizar as informações reais sobre uma encomenda, incluindo a morada do destinatário ou o produto comprado, para tornar emails, SMS ou chamadas telefónicas maliciosas em contactos aparentemente legítimos.
Alguns desses exemplos são os possíveis esquemas de pedidos para pagar pequenas taxas de entrega, custos aduaneiros ou valores associados a uma nova tentativa de entrega. Os atacantes poderão também tentar levar os utilizadores a iniciar sessão numa página falsa ou a fornecer informações de acesso.
Desta forma, a Valve recomenda que qualquer contacto deste género seja tratado como potencialmente fraudulento, mesmo quando contém dados corretos sobre uma encomenda. A Valve acrescenta ainda que o Steam Support apenas trata de problemas relacionados com contas através do seu site oficial e que nunca solicita palavras-passe ou códigos Steam Guard. Por isso, para evitar aceder a páginas falsas, os utilizadores devem aceder diretamente aos serviços oficiais da Steam em vez de seguir links recebidos por email ou mensagem.
A já CEVA isolou os sistemas afetados
De acordo com a Valve, a CEVA também já isolou os sistemas afetados e colocou-os offline, tendo recorrido também a investigadores externos para analisar o incidente. A Valve está também a acompanhar o trabalho da empresa de logística para determinar exatamente que informação foi acedida e de que forma ocorreu o ataque, e já iniciou um processo de notificação das autoridades de proteção de dados nos países afetados.
Para os clientes que receberam a comunicação, a Valve explica que, para já, não é necessário alterar a palavra-passe da Steam nem modificar as definições da conta devido a este incidente, alertando apenas para o cuidado relacionado com eventuais tentativas de contacto fraudulentas.
